微软开放 Security Copilot 早期访问：直接嵌入 365 Defender

半夜三点被警报叫醒的网络安全分析师，最头疼的往往不是病毒本身，而是要在一堆乱七八糟的日志里拼凑攻击全貌，还得手写复杂的数据库查询语句。

针对这个痛点，微软在 10 月 19 日正式面向符合条件的客户推出了 Security Copilot 的早期访问计划（Early Access Program）。这款基于大语言模型的安全助手在今年 3 月刚亮相时还是个独立工具，而这次更新把它直接塞进了微软的安全主阵地。

搬进 Defender，脚本逆向变得像聊天一样

这次最大的变动，是 Security Copilot 直接嵌入到了 Microsoft 365 Defender 扩展检测和响应（XDR）平台里。

以前安全团队要在各种独立后台之间跳来跳去，现在直接在单一界面里就能干活。微软给出的内测数据显示，预览期用户在核心安全运维任务上最多能节省 40% 的时间。

它最实用的变化在于把高门槛的脏活自动化了。比如以前做威胁排查，分析师必须熟练手写 Kusto 查询语言（KQL），现在直接打字问一句「看看最近有谁从异地登录」，模型就会自动转成正确的 KQL 语句。

面对黑客最常用的混淆 PowerShell 脚本，以前往往需要资深的应急响应专家去肉眼逆向，现在 Copilot 能实时拆解代码逻辑并把攻击流程画出来。处理完攻击后，它还能一键生成汇报给董事会看的大白话总结报告。

另外，微软还把每天处理 65 万亿条安全信号的 Defender 威胁情报（Defender Threat Intelligence）及其 API 免费塞给了 Copilot 用户，不再额外收钱。企业如果找了外部的托管安全服务商（MSSP），也能直接把他们拉进同一个 Copilot 环境协同排查。

参与内测的金融机构 Fidelity National Financial 提到，他们看重的是独立租户机制保护了企业 Prompt 隐私，同时能直接把已有微软产品的安全数据串起来。

为什么重要

对企业安全团队来说，这个工具最实在的价值不是取代专家，而是拯救快被杂活淹没的一线防守人员。哪怕是刚入行的新手，也能借它看懂高级脚本和复杂查询，把防御响应时间从几天缩短到几分钟。如果你的企业已经深度绑定了微软 365 体系，现在去申请早期测试是非常值得的，毕竟光是附送的威胁情报 API 就省下了一笔预算。

从行业竞争来看，微软在下一盘很大的棋。很多专门做安全分析或威胁情报的小厂商，以前靠卖独立工具和专家服务赚钱，现在微软直接在底层操作系统和办公套件里内置生成式 AI，甚至打包送情报，这几乎是在用生态体量打价格战，会逼着其他 XDR 厂商加速整合自家的模型能力。

我们认为，微软这一步走得相当狡黠。安全行业长期面临极其严重的人才荒，微软不谈高大上的全自动防御，而是聪明地把 AI 定位成降低分析门槛的辅助者。不过这种绑定的隐患也很明显：把所有安全防线都押注在单一巨头的生态里，一旦模型出现幻觉或者误判，企业自身的安全盲区也会被同步放大。